したがって、ALAS2023-2023-007 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - xdg-utils-1.1.0-rc1 以降の xdg-email コンポーネントに欠陥が見つかりました。mailto:  URI、xdg-email を処理する場合、添付ファイルが Thunderbird に渡される際に、URI を介して慎重に追加される可能性があります。攻撃者は、機密ファイルを新しいメールに自動的に添付する URI を被害者に送信する可能性があります。被害者のユーザーが添付ファイルが追加されたことに気付かず、メールを送信すると、機密情報が漏洩する可能性があります。この問題の背後にあるコードは、Thunderbird ではなく xdg-email にあることが確認されています。(CVE-2020-27748)

  - xdg-mail が mailto URL に thunderbird を使用するように構成されている場合、URL の不適切な解析により、RFC 2368 に記載されていない追加のヘッダーが thunderbird に渡される可能性があります。攻撃者はこのメソッドを使用して、ユーザーには安全に見える mailto URL を作成できますが、実際にはクリックするとファイルが添付されます。(CVE-2022-4055)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : xdg-utils を参照してください (ALAS2023-2023-007)

high Nessus プラグイン ID 173127

バージョン 1.0